パスワードレス認証ソリューションとは？仕組み・種類と選び方、主要サービスを比較

フィッシングやリスト型攻撃による不正ログインが後を絶たず、ID・パスワードだけの認証では守りきれない場面が増えています。一方で、パスワードの定期変更やリセット対応といった日々の運用も情報システム部門の負担になっています。こうした課題への打ち手として、パスワードそのものを使わない「パスワードレス認証」を導入する企業が増えています。

ただ、いざ導入を検討すると「パスキーやFIDO2、生体認証、物理セキュリティキーなど方式が多くて違いが分かりにくい」「実際にどの製品を選べばよいのか」といった疑問に突き当たります。方式ごとに安全性の性質も、向いている環境も異なるため、自社の状況に合わせて見極める必要があります。

本記事では、パスワードレス認証の仕組みと主な方式の違いを整理したうえで、日本で導入できる主要なソリューションを横並びで比較します。方式ごとのフィッシング耐性や使い勝手、自社環境に合わせた選び方、導入でつまずきやすい点まで解説するので、候補を絞り込むための判断材料としてご活用ください。

パスワードレス認証とは？なぜ今必要とされるのか

パスワードレス認証とは、文字列のパスワードを使わずに本人確認を行うログイン方式の総称です。スマートフォンやPCに保存した暗号鍵、指紋や顔などの生体情報、USBなどの物理セキュリティキーといった「本人にしか使えない要素」で認証するため、パスワードの入力・記憶・管理そのものをなくせます。

パスワードレス認証の導入が増えている背景には、不正アクセスの入り口がパスワードに集中している実態があります。Verizonの調査では、2025年の情報漏えい分析において、クレデンシャル（認証情報）の悪用が最初の侵入経路の22%を占め、もっとも多い経路となっています。パスワードは、使い回しやフィッシングによって攻撃者の手に渡りやすく、守りの弱点になりやすいのが実情です。

パスワードをやめると何が変わるか

パスワードレス認証を導入すると、まず盗んだパスワードを使う攻撃の成立余地が小さくなります。入力する文字列が存在しないため、フィッシングサイトに認証情報を打ち込ませる手口や、漏えいしたパスワードを使い回すリスト型攻撃が通用しにくくなります。

運用面の負担が減ることも見逃せません。パスワードの定期変更は、かつて一般的でしたが、現在の公的な指針では推奨されていません。米国立標準技術研究所（NIST）のガイドラインは、定期的なパスワード変更を求めてはならないとしています。日本でも総務省が同じ趣旨を示しており、ヘルプデスクへのリセット依頼やパスワード管理の工数を削減できる余地があります。

なお、利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません。

出典：総務省「安全なパスワードの設定・管理｜国民のためのサイバーセキュリティサイト」

出典・参考資料（3件）

• 出典：「2025 Data Breach Investigations Report」｜Verizon（https://www.verizon.com/about/news/2025-data-breach-investigations-report）
• 出典：「SP 800-63B-4 Digital Identity Guidelines」§3.1.1.2｜NIST（https://pages.nist.gov/800-63-4/sp800-63b.html）
• 出典：「安全なパスワードの設定・管理」｜総務省（https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/）

認証方式の種類と違い

ここからは、パスワードレス認証の主な方式を、仕組み・フィッシング耐性・使い勝手の観点で整理します。ひとくちにパスワードレスといっても、公的なガイドラインが「フィッシングに強い」と位置づける方式と、そうでない方式が混在しているため、ここを押さえると製品比較が読みやすくなります。

公開鍵暗号にもとづく仕組みとフィッシング耐性

パスキーやFIDO2と呼ばれる方式は、公開鍵暗号を使って本人確認を行います。登録時に、端末のなかで「秘密鍵」と「公開鍵」のペアを作り、秘密鍵は端末から持ち出さず、公開鍵だけをサービス側に預けます。ログイン時は端末内の秘密鍵で署名し、サービス側が預かった公開鍵で確かめる仕組みです。

FIDO2は、Webブラウザ向けの仕様であるWebAuthn（W3Cの勧告）と、端末と認証器をつなぐCTAPという2つの規格で構成されています。

この方式がフィッシングに強いとされるのは、作られた資格情報が登録元のサイト（オリジン）に結び付けられ、別のサイトでは使えないように設計されているためです。W3CのWebAuthn仕様は、資格情報がアクセスできる範囲を次のように定めています。

Subsequently, the public key credential can only be accessed by origins belonging to that Relying Party.（その後、この公開鍵資格情報は、当該Relying Partyに属するオリジンからのみアクセスできる）

出典：W3C「Web Authentication: An API for accessing Public Key Credentials Level 2」（W3C Recommendation, 2021年4月8日）

そのため、本物そっくりの偽サイトに誘導されても、ドメインが異なれば認証に使う鍵が働かず、認証情報を渡してしまう事故が起きにくくなります。FIDOアライアンスも、パスキーは公開鍵暗号によって「フィッシング耐性のある（phishing-resistant）」認証を提供すると説明しています。

出典・参考資料（2件）

• 出典：「Web Authentication: An API for accessing Public Key Credentials Level 2」｜W3C（https://www.w3.org/TR/webauthn-2/）
• 出典：「Passkeys」「FIDO2」｜FIDO Alliance（https://fidoalliance.org/passkeys/）

主な方式を横並びで比べる

パスワードレス認証でよく使われる方式を、仕組みとフィッシング耐性、使い勝手の面から比べると以下のようになります。このうちパスワード・SMS・ワンタイムコード・プッシュ通知のフィッシング耐性は、NISTや米政府機関向けのガイドラインが示す位置づけにもとづきます。マジックリンクなど名指しの記載がない方式は、一般的な傾向として示しています。

※上記は各方式の一般的な傾向です。実際の対応状況や安全性は、組み合わせる認証器・製品によって異なります。

NISTのガイドラインは、パスワードや、SMS・ワンタイムコードのように出力を人が手入力する認証はフィッシング耐性を持たないとしています。米政府機関向けのガイドラインでも、SMSやワンタイムコード、プッシュ通知はフィッシングに耐えられない方式とされ、WebAuthnなどへの移行が求められています。

これは米国政府機関への要求であり、日本企業への法的な強制ではありませんが、フィッシング耐性を重視する流れを示す根拠といえます。

出典・参考資料（2件）

• 出典：「SP 800-63B-4 Digital Identity Guidelines」§3.1.1／§3.1.3／§3.2.5｜NIST（https://pages.nist.gov/800-63-4/sp800-63b.html）
• 出典：「M-22-09 Moving the U.S. Government Toward Zero Trust Cybersecurity Principles」｜米国行政管理予算局（OMB）（https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf）

パスキーには、複数の端末でクラウド同期して使える「同期型」と、物理セキュリティキーのように単一の端末から持ち出さない「デバイス紐付け型」があります。FIDOアライアンスは、区別が必要な場面でこの2つを使い分けて説明しています。共有端末や厳格な管理が必要な環境では、鍵が外に出ないデバイス紐付け型が選ばれることがあります。

主要なパスワードレス認証ソリューションを比較

ここからは、パスワードレス認証を実現する代表的なソリューションを横並びで比較します。ここで取り上げるのは、クラウド型のID基盤・物理セキュリティキー・PC向けのソフトウェアという提供形態の異なる3つで、自社の環境に近いタイプを見つける手がかりになります。認証方式・提供形態・対応環境・料金の目安を並べました。

このうちPC向けのソフトウェアは、フィッシング耐性の国際規格（FIDO2）にもとづく方式ではなく、顔認証による継続的な本人確認という別の考え方でパスワードをなくす製品です。守りの方式が異なるため、比較表では認証方式の欄とあわせてご覧ください。より多くのID基盤・多要素認証製品を横断して比較したい場合は、後述の関連記事もご参照ください。

自社に合うソリューションの選び方

ここからは、比較表で見た候補を、自社に合わせて絞り込む手順を解説します。まず自社の利用環境で候補を絞り、次に評価の軸で見極めると、迷いにくくなります。

まず自社環境で候補を絞る

パスワードレス認証は、誰のどのログインを守りたいかによって適した形が変わります。自社の状況を、おおまかに次のように当てはめると候補を絞れます。

• 従業員のクラウドサービス利用を守りたい：複数のSaaSへのログインをまとめて管理するなら、シングルサインオン（SSO）とパスキーを備えたクラウド型のID基盤（IDaaS）が中心になります。
• 顧客向けサービスのログインを守りたい：自社のWebサービスやアプリに組み込む顧客認証（CIAM）では、開発者向けの組み込みやすさと、同期型パスキーへの対応が判断材料になります。顧客認証を主目的とする場合は、CIAMに対応した製品もあわせて検討してください。
• スマートフォンを使えない現場がある：医療・介護・製造などの共有端末では、スマートフォンに頼らない物理セキュリティキーや、顔認証だけで使える方式が向きます。
• オンプレミスのPC環境が中心：クラウドを前提にしない、Windows端末へのサインインを対象にしたソフトウェア型が選択肢に入ります。

スマートフォンを業務で使いにくい現場では、物理セキュリティキーが選択肢になります。その仕組みや種類、選ぶ際の着眼点をもう少し詳しく確かめたい場合は、以下の記事で整理しています。

FIDO2への実際の対応状況を確認する

「パスワードレス対応」とうたう製品でも、フィッシングに強いFIDO2やパスキーに対応しているか、OTPやマジックリンクまでを指しているかは製品によって異なります。守りの強さを重視するなら、FIDO2やパスキーに実際に対応しているかを確認しましょう。あわせて、自社が使う端末やOS、既存のアプリケーションで実際に使えるかを、試験導入で確かめておくと安心です。

既存システム・SSOとの連携を確認する

すでにグループウェアや業務システムを使っている場合、パスワードレス認証を後から重ねられるかが導入のしやすさを左右します。多くのID基盤は、SAML 2.0やOpenID Connectという標準の仕組みを介して既存のSSO環境と連携します。自社が使うサービスがこれらの方式に対応しているか、連携実績があるかを確認すると、導入時の手戻りを防げます。

拡張性・サポート・総コストを比べる

利用人数が増えても運用が回るか、障害時やキー紛失時の問い合わせ窓口があるかは、長く使ううえで効いてきます。料金は月額のユーザー単価だけでなく、初期費用、物理キーの調達費用や予備キー、導入支援の有無まで含めた総額で比べると、見かけの安さに惑わされません。多くのサービスが個別見積もりのため、候補を2〜3社に絞ってから、同じ条件で見積もりを取るのが現実的です。

導入ステップと導入でつまずきやすい点

ここからは、パスワードレス認証を導入する流れと、実務でつまずきやすい点を解説します。手順そのものより、移行期の運用設計でつまずくことが多いため、先回りして押さえておきます。

導入は、まず対象範囲と要件を整理するところから始まります。どの業務のどのログインを対象にするか、どの認証方式を使うかを決め、そのうえで製品を選定します。

いきなり全社へ広げず、一部の部署で試験的に運用して、端末やアプリとの相性・現場の使い勝手を確かめるのが安全です。問題がなければ、利用者への周知と操作の案内を行い、段階的に対象を広げていきます。

デバイス紛失時のリカバリをどう設計するか

パスワードレス認証では、認証に使う端末や物理キーが本人確認の中心になります。そのため、端末の紛失・故障や機種変更に備えて、別の認証手段をどう用意するかを決めておく必要があります。予備の認証器を登録しておく、物理キーを2本配布しておく、本人確認を経た再登録の手順を定めておく、といった備えがないと、いざというときにログインできなくなります。

リカバリの経路は、本人になりすました攻撃者に悪用されない強度を保ちつつ設計することが大切です。

移行期のパスワード併用とユーザー教育

導入直後は、パスワードレス認証とパスワードが併存する期間が生まれます。この間にパスワードを残したままにすると、せっかく強化した入り口の横に弱い経路が残り、攻撃者はそちらを狙います。移行計画では、どの時点でパスワードによるログインを止めるかをあらかじめ決めておくと、中途半端な併用が長引くのを防げます。

利用者への案内も欠かせません。生体認証やパスキーに不慣れな人にとっては、初回の登録や端末の操作がつまずきやすいポイントになります。登録手順を分かりやすく示し、問い合わせ窓口を用意しておくと、現場の混乱を抑えながら移行できます。

主要なパスワードレス認証ソリューションの紹介

ここからは、パスワードレス認証を実現する主要なソリューションを個別に紹介します。提供形態が異なる3つのサービスを取り上げるので、自社の環境に照らして候補を検討する際の参考にしてください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

クラウド型のID基盤（IDaaS）で、シングルサインオン・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理を一つの管理画面でまとめて扱えます。開発・提供は株式会社インターナショナルシステムリサーチです。

パスキー認証は全プラン・全ユーザーで無制限に使える点が特徴で、同社はFIDO2準拠のパスワードレス認証を2019年から提供しています。認証方式は、物理セキュリティキーのほか、Windows HelloやTouch ID／Face IDといった端末内蔵の生体認証、自社の認証アプリにも対応します。

IPアドレスや端末証明書、国・地域、時間帯によるアクセス制限も備え、既存のSaaSとはSAML 2.0やOpenID Connectで連携できます。料金は、2026年11月時点で月額400円〜600円（税抜）のユーザー単価が公式に示されており、プランに応じて別途初期費用がかかります。30日間の無料トライアルも用意されています。

複数のクラウドサービスへのログインをSSOでまとめつつ、フィッシングに強いパスキーへ移行したい企業に適した選択肢です。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

Yubico社の物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション型で提供するサービスです。株式会社インターナショナルシステムリサーチが、Yubico社とのパートナー契約にもとづいて日本で提供しています。

秘密鍵をキー本体のなかに保持するハードウェアトークン型で、FIDO2／WebAuthnをはじめ、FIDO U2F・PIV・OATH（TOTP）といった複数の認証規格に対応します。

買い切りではなく運用費として導入できるのが、サブスクリプションならではの利点です。毎年、契約数の25%分の予備キーが提供され、紛失や増員に備えられるほか、契約期間中の同じタイプ内でのキー変更や、専任担当による導入支援も付帯します。スマートフォンを業務で使えない医療・介護・製造の現場でも利用できる点も強みです。

契約は200ユーザーからで、期間は3年または5年。料金は、選ぶキーの種類に応じた個別見積もりとなっています。

提供元のインターナショナルシステムリサーチは、特にスマートフォンを使いにくい現場での適性について、次のように説明しています。

スマートフォンに頼らず、フィッシングに強いハードウェアベースの認証を全社に行き渡らせたい企業に向いています。

3. DZ Pass（株式会社AnchorZ）

株式会社AnchorZが提供する、Windows PC向けのパスワードレス認証・情報漏えい対策ソフトウェアです。独自の「バックグラウンド認証®」により、顔認証とスマートフォンを組み合わせて、ログイン後も継続的に本人確認を行います。先に紹介した2つがFIDO2にもとづく方式であるのに対し、DZ Passは自社独自の方式で、顔とスマートフォンの所持による継続認証を軸にする点が異なります。

動作モードは3つ用意されています。顔認証とスマートフォン認証を組み合わせるスタンダードモード、スマートフォンが不要で顔認証のみを使うライトモード、既存のWindowsログインを維持したまま監視機能だけを足すWindows標準モードです。離席を検知して画面を自動ロックし、復帰時は顔認証で解除する機能や、第三者の接近・覗き見・なりすましの検知も備えます。

対応OSはWindows 10（64bit）20H2以上で、顔認証のためのカメラが必須となり、リモートデスクトップ経由のログインには対応しません。料金は非公開で、問い合わせのうえ個別見積もりとなります。

クラウドのSaaSよりも、オフィスや在宅のWindows PCそのものへのサインインを、顔認証で手軽にパスワードレス化したい企業に向いた選択肢です。

この継続的な本人確認は、在宅勤務時の情報の持ち出し対策という場面でも使われます。開発元である株式会社AnchorZの徳山氏は、在宅のパソコンに映った個人情報をスマートフォンで撮影しようとする場面での挙動を、次のように説明します。

パスワードレス認証は、多要素認証（MFA）の一部として導入されることも多い方式です。パスワードレスに限らず、SMS認証やワンタイムパスワード、認証アプリなども含めてMFAシステム全体を見渡し、主要サービスを横並びで比較検討したい場合は、以下の記事で認証方式・料金・タイプ別の選び方を詳しく解説しています。

まとめ

パスワードレス認証は、パスワードそのものをなくすことで、フィッシングやリスト型攻撃の入り口を狭め、日々の運用負担も軽くできる方式です。守りの強さを重視するなら、公的なガイドラインがフィッシング耐性ありと位置づけるパスキーやFIDO2への対応が、製品選びの軸になります。

どのソリューションが合うかは、守りたいログインの種類と利用環境によって変わります。従業員のクラウド利用か、顧客向けサービスか、スマートフォンを使えない現場か、オンプレミスのPC環境か。自社の状況に当てはめて候補を絞り、FIDO2への対応状況・既存システムとの連携・紛失時のリカバリ設計を確かめたうえで、2〜3社に資料を請求して比べるのが近道です。

よくある質問（FAQ）

Q. パスワードレス認証とは何ですか？

A. パスワードレス認証とは、文字列のパスワードを使わず、端末内の暗号鍵・生体情報・物理セキュリティキーなど「本人にしか使えない要素」で本人確認を行うログイン方式の総称です。パスワードの入力・記憶・管理そのものをなくせるため、フィッシングや、漏えいしたパスワードを使い回すリスト型攻撃で認証情報が盗まれるリスクを下げられます。

Q. パスワードレス認証はどの方式を選べばフィッシングに強いですか？

A. パスワードレス認証でフィッシング耐性を重視するなら、公開鍵暗号にもとづくパスキー／FIDO2に対応した方式が有力な選択肢になります。米国立標準技術研究所（NIST）や米政府機関向けのガイドラインは、SMSやワンタイムコード、プッシュ通知のように人がコードを手入力・操作する方式はフィッシング耐性を持たないと位置づけ、WebAuthn（FIDO2）などへの移行を求めています。

方式の優劣は製品ごとの印象ではなく、こうした公的・標準の位置づけにもとづいて判断するのが確実です。

Q. パスワードレス認証ソリューションを選ぶときは何を確認すればよいですか？

A. パスワードレス認証ソリューションを選ぶ際は、「パスワードレス対応」の中身がFIDO2やパスキーまで含むか、自社の端末・OS・既存アプリケーションで実際に使えるかを確認するのが要点です。製品によっては、OTPやマジックリンクまでを「パスワードレス」と呼んでいる場合があります。

守りの強さを重視するなら、FIDO2やパスキーへの実際の対応状況を確かめ、少人数での試験導入で登録と日々のログインを試してから決めると、導入後の手戻りを防げます。

Q. パスワードレス認証は既存のSSO環境と連携できますか？

A. 多くのID基盤は、SAML 2.0やOpenID Connectという標準の仕組みを介して、既存のSSO環境に重ねて導入できます。すでに使っているグループウェアや業務システムがこれらの方式に対応しているか、連携実績があるかを事前に確認すると、導入時の手戻りを防げます。

Q. パスワードレス認証は規制対象の業界でも安全に使えますか？

A. パスワードレス認証は、OTPだけに頼らずFIDO2やパスキーにもとづいて構築されていれば、規制の厳しい業界でも有力な選択肢になります。あわせて、監査ログの取得可否、データの保存場所（データ所在地）、第三者認証やコンプライアンス認定の有無を確認しておくと、社内規程や業界要件への適合を社内で説明しやすくなります。

Q. スマートフォンが使えない現場でもパスワードレス認証は導入できますか？

A. パスワードレス認証は、スマートフォンを業務で使えない現場でも、USBやNFCで接続する物理セキュリティキーや、顔認証だけで使える方式を選べば導入できます。医療・介護・製造などの共有端末では、特定のデバイスではなく個人に紐づく物理セキュリティキーが使いやすく、スマートフォンに依存しない運用がしやすくなります。

Q. パスワードレス認証で使う端末や物理キーを紛失したらログインできなくなりますか？

A. パスワードレス認証では端末や物理キーが本人確認の中心になりますが、紛失・故障に備えたリカバリ手段をあらかじめ用意しておけば、ログインできなくなる事態は避けられます。予備の認証器を登録しておく、物理キーを2本配布しておく、本人確認を経た再登録の手順を定めておく、といった備えが有効です。リカバリの経路は、本人になりすました攻撃者に悪用されない強度を保ちつつ設計することが大切です。

Q. パスワードレス認証を導入すると社内のパスワードは完全になくなりますか？

A. パスワードレス認証を導入しても、切り替え直後はパスワードと併存する移行期間が生まれるのが一般的で、計画的に廃止して初めてパスワードをなくせます。移行期にパスワードを残したままにすると、強化した入り口の横に弱い経路が残ってしまうため、どの時点でパスワードによるログインを止めるかをあらかじめ決めておくと、中途半端な併用が長引くのを防げます。

パスワードレス認証ソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、パスワードレス認証に対応したID基盤や物理セキュリティキーなどの最新資料を無料で一括請求できます。認証方式や対応環境、料金を並べて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。